주제 1, Litware, Inc. 사례 연구
개요
주식회사 리트웨어 뉴욕과 샌프란시스코에 본사를 두고 있는 금융 서비스 회사입니다. 리트웨어는
미국 전역의 30개 지점 및 원격 직원. 원격 직원은 VPN을 사용하여 본사에 연결합니다.
Litware는 합병 및 인수로 인해 지난 2년 동안 크게 성장했습니다. 인수에는 프랑스에 기반을 둔 여러 회사가 포함됩니다.
기존 환경
Litware에는 Utvvare.com이라는 AD D%(Active Directory Domain Services) 포리스트와 동기화되고 20개의 Azure 구독에 연결된 Azure AD(Azure Active Directory) 테넌트가 있습니다. Azure AD Connect는 통과 인증을 구현하는 데 사용됩니다. 암호 해시 동기화가 비활성화되고 암호 쓰기 저장이 활성화됩니다. 모든 Litware 사용자에게는 Microsoft 365 E5 라이선스가 있습니다.
이 환경에는 Litware의 자회사에 속하는 여러 AD DS 포리스트, Azure AD 테넌트 및 수백 개의 Azure 구독도 포함됩니다.
계획된 변경
Litware는 다음 변경 사항을 구현할 계획입니다.
* 각 Azure AD 테넌트에 대한 관리 그룹 계층을 만듭니다.
* Litware의 기존 Azure 환경을 리팩터링하고 향후 모든 Azure 워크로드를 배포하기 위한 방문 영역 전략을 설계합니다.
* Azure AD 애플리케이션 프록시를 구현하여 현재 VPN을 사용하여 액세스하는 내부 애플리케이션에 대한 보안 액세스를 제공합니다.
비즈니스 요구 사항
Litware는 다음과 같은 비즈니스 요구 사항을 식별합니다.
* 추가 온프레미스 인프라를 최소화합니다.
* 관리 오버헤드와 관련된 운영 비용을 최소화합니다.
하이브리드 요구 사항
Litware는 다음과 같은 하이브리드 클라우드 요구 사항을 식별합니다.
* 다음을 포함하여 Azure에서 온-프레미스 리소스 관리를 활성화합니다.
* 시행 및 규정 준수 평가를 위해 Azure Policy를 사용합니다.
* 변경 추적 및 자산 인벤토리를 제공합니다.
* 패치 관리를 구현합니다.
* 게스트 계정을 유지 관리하는 오버헤드 없이 중앙 집중식 교차 테넌트 구독 관리를 제공합니다.
Microsoft 센티넬 요구 사항
Litware는 Microsoft Sentinel의 SIEM(보안 정보 및 이벤트 관리) 및 SOAK(보안 오케스트레이션 자동 응답) 기능을 활용할 계획입니다. 이 회사는 Microsoft Sentinel을 사용하여 SOQ(Security Operations Center)를 중앙 집중화하려고 합니다.
신원 요구 사항
Litware는 다음과 같은 신원 요구 사항을 식별합니다.
* AD DS 사용자 계정을 직접 대상으로 하는 무차별 대입 공격을 감지합니다.
* Litware의 Azure AD 테넌트에서 유출된 자격 증명 감지를 구현합니다.
* Azure AD 사용자 계정을 대상으로 하는 무차별 대입 공격에 의해 AD DS 사용자 계정이 잠기는 것을 방지합니다.
* Litware의 Azure AD 테넌트에 대한 지원을 포함하여 사용자 및 그룹의 위임된 관리를 구현합니다.
* 그룹 속성, 멤버십, 라이선스 관리
* 사용자 속성 관리,
암호 및 라이선스
* 사업부별 사용자 관리 위임.
규정 준수 요구 사항
Litware는 다음과 같은 규정 준수 요구 사항을 식별합니다.
* 각 미국 및 프랑스 기반 자회사가 소유한 로그, 원격 측정 및 데이터를 수집할 때 데이터 상주 규정 준수를 보장합니다.
* 기본 제공 Azure Policy 정의를 활용하여 전체 관리 환경에서 규정 준수를 평가합니다.
* 최소 권한의 원칙을 사용합니다.
Azure 방문 영역 요구 사항
Litware는 다음과 같은 방문 영역 요구 사항을 식별합니다.
* 전용 Azure 구독에서 Azure 방화벽을 통해 방문 영역의 모든 인터넷 바인딩 트래픽을 라우팅합니다.
* 랜딩존 범위의 안전한 점수를 제공합니다.
* 각 방문 영역의 Azure 가상 머신이 공용 끝점이 아닌 Microsoft 백본 네트워크를 통해 동일한 영역의 Azure App Service 웹앱과 통신하는지 확인합니다.
* 데이터 유출 가능성을 최소화합니다.
* 네트워크 대역폭을 최대화합니다.
랜딩 존 아키텍처에는 인터넷 및 하이브리드 연결의 허브 역할을 하는 전용 구독이 포함됩니다. 각 착륙 구역에는 다음과 같은 특성이 있습니다.
* 전용 구독에서 생성됩니다.
* litware.com의 DNS 네임스페이스를 사용합니다.
애플리케이션 보안 요구 사항
Litware는 다음과 같은 애플리케이션 보안 요구 사항을 식별합니다.
* Azure AD 애플리케이션 프록시를 사용하여 SSO(Single Sign-On)를 지원할 내부 애플리케이션을 식별합니다.
* Microsoft SharePoint Online 및 Exchange Online 데이터에 대한 액세스를 실시간으로 모니터링하고 제어합니다.